Apple zapłacił studentowi cyberbezpieczeństwa, co uważa się za rekordową kwotę 105 000 dolarów za błąd. Czemu? Pokazał firmie, w jaki sposób zhakowanie jej kamer internetowych może sprawić, że urządzenia będą w pełni podatne na dalsze ataki.
Włamanie do kamery internetowej Mac: problemy z Safari i iCloud
Student Ryan Pickren, który wcześniej odkrył lukę w zabezpieczeniach aparatu iPhone'a i Maca, powiedział, że nowa luka w kamerze internetowej dotyczy serii problemów z Safari i iCloud. Błędy, teraz załatane przez Apple, mogą pozwolić złośliwym witrynom na przeprowadzanie ataków.
Pickren wyjaśnił dalej problem dawałby atakującemu pełny dostęp do wszystkich kont internetowych, w tym dużych usług, takich jak Gmail, iCloud i PayPal. Umożliwiłoby to również pozwolenie na korzystanie z mikrofonu, kamery i współdzielenie ekranu. Korzystanie z aparatu może jednak nie pozostać niezauważone, ponieważ zielona lampka wskaźnika będzie świecić jak zwykle.
Pełny dostęp do systemu plików
Pickren zauważył, że takie włamanie może dać atakującemu nieograniczony dostęp do pełnego systemu plików urządzenia. Klucz polega na wykorzystaniu plików „archiwum internetowego” Safari. To system używany przez przeglądarkę do zapisywania lokalnych kopii witryn.
„Zaskakującą cechą tych plików jest to, że określają pochodzenie sieci, w której treść powinna być renderowana” – napisał Pickren. „To niesamowita sztuczka, która pozwala Safari odbudować kontekst zapisanej witryny, ale jak zauważyli autorzy Metasploit w 2013 roku, jeśli atakujący może w jakiś sposób zmodyfikować ten plik, może skutecznie osiągnąć UXSS [universal cross-site scripting] przez projekt."
Aby exploit okazał się skuteczny, haker musi pobrać taki plik archiwum internetowego — a także go otworzyć. Pickren zasugerował, że właśnie dlatego Apple uznał to za mało prawdopodobny scenariusz hakerski, gdy po raz pierwszy umieścił archiwum internetowe Safari.
„Przyznaję, że ta decyzja została podjęta prawie dziesięć lat temu, kiedy model bezpieczeństwa przeglądarki nie był tak dojrzały, jak obecnie” – powiedział Pickren. „Przed Safari 13 żadne ostrzeżenia nie były wyświetlane użytkownikowi, zanim witryna pobrała dowolne pliki. Tak więc umieszczenie pliku archiwum internetowego było łatwe”.
Apple wypłacił 100 500 $
Apple nie skomentował błędu, w tym tego, czy ktokolwiek wykorzystał go przed, czy po jego odkryciu. Ale gigant technologiczny z Cupertino zapłacił Pickrenowi 100 500 dolarów z programu bug bounty. To o 500 USD więcej niż wcześniej zgłoszone wypłaty.
Program może nagroda do 1 miliona dolarów. Apple publikuje listę maksymalnych kwot według zgłoszonych kategorii problemów związanych z bezpieczeństwem. Eksperci ds. bezpieczeństwa nie są zobowiązani do ujawniania kwot nagród.
To powiedziawszy, w pewnym momencie Apple mogło zapłacić za Pickrena więcej niż 100 500 USD. W przeszłości krytycy oskarżali firmę o podcięcie własnych maksymalnych kwot wypłat — choć nie zawsze — i za to, że czasami wolno łatał luki w zabezpieczeniach.
